CVE-2026-78159
The Events Calendar <= 6.17.3 - Iniezione di codice non autenticata con esecuzione di codice remoto tramite invocazione callable della mappa 'classes' del widget
- Pubblicato
- 12 set 2026
- Aggiornato
- 14 set 2026
- Assegnazione CNA
- Wordfence
- Evidenza osservata
- 19 set 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 71,6%
- Data del modello
- 11 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Il plugin The Events Calendar per WordPress è vulnerabile a Remote Code Execution in tutte le versioni fino alla 6.17.3 inclusa tramite la funzione parse_array. Ciò è dovuto a una validazione insufficiente della mappa 'classes' del widget, che consente a un payload di tipo plain-array di aggirare il controllo dell'oggetto is_safe_widget_instance() e raggiungere il sink di invocazione callable in Element_Classes::parse_array(). Questo rende possibile per attaccanti non autenticati eseguire codice sul server. Lo sfruttamento richiede che il sito preso di mira abbia i commenti abilitati sui post tribe_events e che sia stato inviato almeno un commento contenente un blocco wp:legacy-widget appositamente craftato, poiché la catena di attacco viene attivata quando do_blocks() elabora l'HTML del singolo evento includendo l'area dei commenti.
Fonti
Proof-of-concept exploit per CVE-2026-78159, un RCE non autenticato nel plugin WordPress The Events Calendar tramite il sink delle classi widget parse_array.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.